iCloud indiscret sur nos journaux d’appels…

iCloud, quand il est actif sur un appareil Apple, synchronise et sauvegarde de nombreux éléments : contacts, agendas, messages, réglages et ainsi de suite. L’idée est de simplifier la vie de l’utilisateur s’il vient à perdre son appareil ou tout simplement s’il en utilise plusieurs. La « réserve » de données est ainsi la même et il ne s’embarrasse pas de doublons et autres.

Une synchronisation active, même quand la sauvegarde iCloud est coupée

Mais iCloud synchronise aussi le journal des appels, ce qui n’est en fait mentionné nulle part. La découverte a été faite par Elcomsoft, à qui l’on doit déjà les révélations sur la fragilité du chiffrement dans les sauvegardes faites par iOS 10. Toutes les informations du journal d’appel sont présentes : les appels classiques émis et reçus, les appels FaceTime, et globalement tout ce qui peut y inscrire des évènements depuis iOS, comme Skype et WhatsApp.

Selon Elcomsoft, la seule manière de couper cette synchronisation, qui remonte le journal jusqu’à quatre mois en arrière, est de désactiver complètement iCloud Drive, un choix que l’on trouve dans les options du service dans iOS et macOS. Désactiver iCloud lui-même ne suffit pas.

Mais ce faisant, d’autres services peuvent ne plus fonctionner. WhatsApp, justement, se sert de Drive pour stocker ses sauvegardes. D’autres applications l’utilisent pour entreposer leurs documents et les synchroniser entre les machines de l’utilisateur. Il reste bien entendu le cas où cette révélation ne dérange pas l’utilisateur.

Une commodité, et pas seulement pour les utilisateurs

Pour Apple, il n’y a pas vraiment de problème, comme la firme l’a indiqué à Forbes : « Nous offrons la synchronisation du journal d’appels comme une commodité à nos clients, pour qu’ils puissent rappeler depuis n’importe lequel de leurs appareils. […]L’accès aux données iCloud – y compris les sauvegardes – requiert l’identifiant Apple et le mot de passe. Nous recommandons à tous nos clients de choisir des mots de passe forts et d’utiliser l’authentification à deux facteurs ».

Tout irait bien donc à partir du moment où le mot de passe serait assez fort. Cependant, ce n’est pas aussi simple. L’affaire de l’iPhone 5c a certes montré qu’Apple ne pouvait pas déverrouiller par la force un appareil et récupérer les données (le code de verrouillage participe à la clé de chiffrement), mais iCloud, même s’il communique de manière chiffrée, dépose des données sur les serveurs de l’entreprise.

Or, comme pour iMessage, ces données sont disponibles sur demandes si les forces de l’ordre les réclament, dument armées d’un mandat. Une situation similaire à ce que l’on retrouve dans le domaine de la téléphonie mobile « classique » depuis des années.

L’expert Jonathan Zdziarski, interrogé par Forbes, a indiqué que rien n’empêchait en théorie Apple de basculer dans le chiffrement intégral pour l’ensemble de ses services. « Mais d’un point de vue politique » ajoute-t-il, « cela pourrait déclencher une guerre avec certaines agences fédérales qui utilisent ces données quotidiennement ». Une situation à ce qu’on a pu voir avec WhatsApp lors de son passage au chiffrement de bout-en-bout.

Notre métier : Sensibiliser les décideurs et les utilisateurs. Vous apprendre à vous protéger des pirates informatiques, vous accompagner dans votre mise en conformité avec la CNIL et le règlement Européen sur la Protection des Données Personnelles (RGPD). (Autorisation de la Direction du travail de l’Emploi et de la Formation Professionnelle n°93 84 03041 84).

Denis JACOPINI anime dans toute le France et à l’étranger des conférences, des tables rondes et des formations pour sensibiliser les décideurs et les utilisateurs aux risques liés à la Cybercriminalité et à la protection de leurs données personnelles (Mise en Place d’un Correspondant Informatique et Libertés (CIL) dans votre établissement.

Plus d’informations sur : https://www.lenetexpert.fr/formations-cybercriminalite-protection-des-donnees-personnelles

Réagissez à cet article